漏洞是什么意思？安全漏洞从发现到修复的过程

WindowsMaciPhoneAndroid更新

英国国家网络安全中心（NCSC）把漏洞（vulnerability）定义为软件、系统或流程中的弱点或缺陷，攻击者会利用它，比如未经授权进入一台计算机系统。软件厂商通过更新来修复漏洞，NCSC 把安装这些更新叫作打补丁（patching）。本文信息截至 2026 年 10 月 23 日。

简要回答

按 NCSC 的定义，漏洞是软件、系统或流程中可能被攻击者利用的弱点或缺陷。漏洞由研究人员和厂商等发现，报告给负责的机构，修复后连同安全公告一起发布。在中国，《网络产品安全漏洞管理规定》对发现、报告、修补和发布都有要求。及时安装更新，修复才会到达你自己的设备。

安全领域说的“漏洞”是什么意思？

简单说，就是一个本不该存在的缺口。NCSC 的定义如上。美国国家标准与技术研究院（NIST）的术语表说得更正式：漏洞是信息系统、系统安全程序、内部控制或实现中的弱点，可能被威胁源利用或触发。

还有两个常一起出现的词。NCSC 把漏洞利用（exploit）定义为开发工具，利用系统中的漏洞获得未经授权的访问或造成不良后果。所以漏洞是弱点，利用是使用这个弱点的手段。零日漏洞（zero-day），在 NCSC 的术语表里，是指新近发现、黑客可以利用、但还没有公开可用的修复或补丁的漏洞。

漏洞本身不等于被黑。它是一个可能被利用的弱点，所以发现漏洞之后的建议，都是赶在别人利用之前把它修好。

漏洞是怎么被发现的？

NCSC 说，安全漏洞随时都在被发现，人们希望能把它们直接报告给负责的机构。美国网络安全和基础设施安全局（CISA）说，研究人员、厂商等个人或机构可以把疑似漏洞报告给 CISA，由它协调处理。

中国 2021 年 9 月 1 日起施行的《网络产品安全漏洞管理规定》，由工业和信息化部、国家互联网信息办公室和公安部联合印发。它鼓励相关组织和个人向网络产品提供者通报其产品存在的安全漏洞，并要求网络产品提供者、网络运营者和漏洞收集平台建立并保持畅通的漏洞信息接收渠道，接收日志留存不少于 6 个月。

漏洞报告之后，怎么修补和发布？

按顺序来，让各方同时拿到信息。CISA 说，它的协调漏洞披露计划促进漏洞信息和可用缓解措施的及时、同步传播，让从报告人到厂商及其客户的各方同时收到关键信息。它列出的步骤是：提交报告，核实报告真实且在范围之内，与厂商协调确认漏洞，决定是否需要 CVE 编号，商定公告的措辞和时间，然后发布。CISA 说，如果厂商不回应或不同意合理的修复时间，它最早可以在首次尝试联系厂商 45 天后披露漏洞，不论有没有补丁。

《网络产品安全漏洞管理规定》对中国境内的做法有具体要求：

  1. 网络产品提供者发现或者获知产品存在安全漏洞后，应当立即采取措施，组织验证，评估危害程度和影响范围；属于上游产品或组件的，要立即通知相关提供者。
  2. 网络产品提供者应当在 2 日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送漏洞信息。
  3. 网络产品提供者应当及时组织修补；需要用户升级软件或固件的，要及时把风险和修补方式告知可能受影响的用户，并提供必要的技术支持。
  4. 从事漏洞发现、收集的组织或个人向社会发布漏洞信息的，不得在网络产品提供者提供修补措施之前发布；发布漏洞时，应当同步发布修补或者防范措施，不得刻意夸大漏洞的危害和风险。

漏洞怎样得到编号和修复？

很多漏洞会拿到一个 CVE 编号。CISA 说，通用漏洞披露（CVE）计划是一个全球公认的识别、命名和编目网络安全漏洞的系统。所以公告里会出现 CVE-2026-109618 这样的编号。在中国，国家信息安全漏洞共享平台（CNVD）也给 PHP2Shell 的两个漏洞分配了自己的编号。编号和严重程度评分是什么意思，见CVE 编号和 CVSS 评分是什么。

修复本身通常是补丁。NCSC 把打补丁定义为安装设备或软件的更新，以提高安全性和/或增强功能。

为什么更新很重要？

因为更新是修复到达你手上的方式。NCSC 给个人的建议是，App 和设备软件的更新一出来就安装，不要忽略更新提示。它说安装更新是保障上网安全最重要、也最快的事情之一，并建议在设备支持时打开自动更新。

NCSC 还提醒，厂商最终会停止更新旧设备。不再受支持的设备收不到安全更新，NCSC 说这会让手机不那么安全。

PHP2Shell 是怎样一个例子？

PHP2Shell 走完了整个过程。2026 年 10 月 21 日，PHP 官方公布了两个高危漏洞 CVE-2026-109618 和 CVE-2026-109619，它们可能让攻击者无需登录就实现远程代码执行，PHP 官方同一天发布了修复版本。公告说，Linux 发行版和长期支持厂商提前拿到了补丁。国家互联网应急中心（CNCERT）的公告说，CNVD 在同一天收录了这两个漏洞，编号 CNVD-2026-41674 和 CNVD-2026-41675，综合评级为“高危”。CNCERT、新加坡网络安全局（CSA）和 CISA 都要求更新。

截至 2026 年 10 月 23 日：CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用。CNCERT 在 10 月 22 日说，漏洞技术细节与 PoC 已广泛传播。CSA 在 10 月 23 日更新的警报中说，已有针对这些漏洞的大范围利用尝试的报告。完整内容见PHP 漏洞 PHP2Shell 解读。

更多问题

CNVD 是什么？

CNVD 是国家信息安全漏洞共享平台。CNCERT 关于 PHP2Shell 的公告说，CNVD 在 2026 年 10 月 21 日收录了这两个 PHP 漏洞，给出 CNVD 编号，并对应到 CVE 编号 CVE-2026-109618 和 CVE-2026-109619。它对这两个漏洞的综合评级是“高危”。

漏洞和病毒是一回事吗？

不是。按 NCSC 的定义，漏洞是一个弱点或缺陷，漏洞利用是为利用它而开发的工具。所以漏洞是弱点本身，不是攻击，这也是为什么建议都是赶在有人利用之前把它修好。

每个漏洞都会被修复吗？

不一定很快。CISA 说，如果厂商不回应或不定合理的时间表，它可能在 45 天后披露漏洞，不论有没有补丁。停止支持的软件可能根本得不到修复：PHP 8.1 及更早版本已经不再获得 PHP 官方的更新。

我的设备收不到更新了，怎么办？

NCSC 说，不再受支持的设备收不到厂商的安全更新，因此不那么安全，建议上网查一下具体型号是否还在接收更新。软件也是同样的道理，PHP 各版本的支持周期见PHP 安全吗。

我发现了一个漏洞，该怎么报告？

先找负责的机构或厂商的报告渠道。《网络产品安全漏洞管理规定》鼓励向网络产品提供者通报，也鼓励向工业和信息化部网络安全威胁和漏洞信息共享平台、国家计算机网络应急技术处理协调中心漏洞平台等报送。它同时规定，不得在提供者提供修补措施之前发布漏洞信息，也不得利用漏洞从事危害网络安全的活动。

来源